Por María González, Responsable Técnica Área Ciberseguridad
La preocupación por mantener a salvo la información y resto de activos de la empresa se está convirtiendo en un reto inalcanzable que estresa a los CISO, Responsables de seguridad y Directores de TI. Noticias diarias de robos de datos, denegaciones de servicio, secuestro de datos a través de cifrado (ransomware) generan tanto a empresas como a ciudadanos inseguridad, desconfianza e incluso psicosis.
La aplicación de medidas de seguridad a mínimos ya sea por desconocimiento, por falta de recursos o de presupuesto y hackers cada vez más sofisticados analizando día tras día como mejorar sus técnicas y como obtener el mayor beneficio, generan que las empresas siempre se sientan un peldaño o varios por debajo sin llegar jamás a tener el control y la madurez suficientes para enfrentarse a posibles incidentes/ataques de seguridad.
Hay quien opina,” ¿para qué poner medidas de seguridad si lo van a conseguir igual?” Por el contrario, hay quien dice “cuantos más impedimentos pongamos, más difícil lo tendrán”.
El símil es fácil, la empresa nuestra casa. No queremos que entren a robar a casa, por lo que intentamos aplicar diferentes medidas de seguridad: cerramos con llave la puerta, en algunos casos con dos cerrojos, en otros añadimos una alarma e incluso portero/vigilante de seguridad en la finca. Les explicamos a nuestros hijos que hay unas normas, “cierra la puerta con llave, conecta la alarma, no dejes las ventanas abiertas, si pierdes las llaves avisa para cambiar el cerrojo…”. Si lo extrapolamos a la empresa necesitamos medidas de seguridad técnicas como son contraseñas robustas, doble o múltiple factor de autenticación, cifrado, soluciones de seguridad como firewalls, antivirus, NAC, WAF, IRM, DLP etc y políticas, normativas y procedimientos que nos especifiquen como trabajar protegiendo la información.
¿Cómo abordan en la actualidad las empresas esta problemática? Si lo simplificamos en tres tipologías en base a la implicación de la Dirección, presupuestos y recursos, podemos resumir:
Las que consiguen tener un apoyo mayor de la Dirección contemplan proyectos globales comenzando por la definición del Plan Director de Seguridad o un servicio de Oficina Global de Seguridad ambos tienen un objetivo común que es establecer el plan de acción para posteriormente implantarlo y mantenerlo y así iniciar, mejorar y optimizar todas las medidas de seguridad desde la parte de políticas, normativas y procedimientos hasta la más técnica como un servicio de detección y respuesta a incidentes seguridad (MDR) y/o más específicas como puede ser una solución de recolección y análisis de logs o una herramienta para análisis de vulnerabilidades.
Una segunda tipología de empresa se centra en conseguir un mayor nivel de seguridad en base al cumplimiento y adecuación a normativas, leyes o estándares como ISO27001 (Sistema de Gestión de Seguridad de la Información), ENS (Esquema Nacional de Seguridad), RGPD (Reglamento general de Protección de Datos), PCI-DSS (Payment Card Industry Data Security Standard), ISO22301 (Sistema de gestión de Continuidad de Negocio), ISO31000 (Sistema de Gestión de Riesgos) etc.
Por último, nos encontramos con una tercera tipología de empresas que aborda la seguridad a través de proyectos más focalizados en aquellas áreas donde tienen mayor preocupación. Su objetivo en muchos casos es comprobar si el diseño de su infraestructura de seguridad y comunicaciones es el óptimo, si las configuraciones de los equipos o la identificación, autenticación y permisos de los usuarios son los adecuados para no generar gaps de seguridad y en especial, la mayor inquietud y curiosidad que tienen muchas empresas y que hace que sea uno de los proyectos más demandados y recurrentes, es saber qué lograría un hacker realizando un ataque a los sistemas, hasta donde accedería o qué información lograría sacar tanto realizándolo externamente, desde dentro de la compañía, a través de la WIFI o de las webs.
El camino para lograr un nivel de madurez adecuado y para tomar el control de la seguridad de una organización es importante pero cada empresa evaluando la criticidad de su negocio, necesidades, recursos y “timings” debe establecer pequeños i/o grandes pasos para evitar incidentes de seguridad que puedan incluso llevar al cese del negocio.